DIVISION DE LYON 
 Lyon, le 16 mai 2019 N/Réf. : Codep-Lyo-2019-022431 Monsieur le directeur Institut Laue Langevin BP 156 38042 GRENOBLE Cedex 9

## Objet : Contrôle Des Installations Nucléaires De Base (Inb)

 Institut Laue Langevin (ILL) - INB n° 67 Référence à rappeler en réponse à ce courrier : INSSN-LYO-2019-0759 du 5 avril 2019 Thème : Inspection réactive suite à un écart, gestion des écarts Réf : [1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V 
 [2] Arrêté du 7 février 2012 fixant les règles générales relatives aux INB [3] Décision de l'ASN n° 2014-DC-0420 du 13 février 2014 relative aux modifications matérielles des INB 
 [4] Décision de l'ASN n° 2014-DC-0417 du 28 janvier 2014 relative aux règles applicables aux INB pour la maîtrise des risques liés à l'incendie 
 [5] Décision de l'ASN n° 2018-DC-0623 du 6 février 2018 portant mise en demeure de l'ILL de se conformer à diverses dispositions réglementaires concernant les modifications de l'INB n°67 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection inopinée de votre établissement de Grenoble a eu lieu le 5 avril 2019 concernant la mise en indisponibilité non détectée d'un élément important pour la sûreté (EIP) d'une durée inférieure à la limite définie dans les règles générales d'exploitation de l'INB n° 67. Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthese De L'Inspection

L'inspection du 5 avril 2019 du réacteur à haut-flux (INB n° 67), exploité par l'Institut Laue Langevin (ILL), avait pour principal objectif de comprendre les raisons qui ont conduit l'exploitant à considérer disponible par erreur une des deux voies du PCS3 (poste de contrôle de secours 3, classé EIP) après des opérations de modifications sur cette voie. Les inspecteurs ont également consulté le compte-rendu de l'essai inter-cycle qui a permis à l'exploitant de détecter l'indisponibilité de la voie du PCS3. Enfin, les inspecteurs ont vérifié le respect de certains engagements pris par l'exploitant lors de la dernière inspection relative à la gestion des écarts. Les conclusions de l'inspection ne sont pas satisfaisantes. Il apparaît que l'exploitant a réalisé une action non prévue par son référentiel sans analyse préalable et sans la tracer. Il a également réalisé des modifications matérielles d'EIP sans respecter complètement les exigences réglementaires afférentes et sans respecter l'organisation mise en place pour répondre à la décision portant mise en demeure [5]. L'exploitant devra tirer le retour d'expérience des dysfonctionnements et des écarts constatés par les inspecteurs afin qu'ils ne se reproduisent plus. Les inspecteurs ont également constaté que l'analyse par l'exploitant de l'indisponibilité non détectée d'une voie du PCS3 ne lui a pas permis d'identifier les écarts réglementaires et les écarts au système de management intégré (SMI) que les inspecteurs ont pu, quant à eux, détecter en effectuant cette analyse. En outre, l'exploitant devra revoir son organisation pour s'assurer qu'après des modifications d'EIP, ceux-ci soient formellement requalifiés conformément à la règlementation en vigueur, afin de s'assurer que leurs exigences fonctionnelles n'ont pas été dégradées. L'exploitant devra s'assurer que les analyses de risques des activités importantes pour la protection (AIP) prennent bien en compte tous les risques, et que les parades permettant de maitriser ces risques sont formellement définies. 

L'exploitant devra également formaliser la liste de ses EIP à protéger des effets d'un incendie ainsi que les EIP et les AIP participant à la réduction de la probabilité d'occurrence d'un incendie, à sa détection et à la limitation de ses conséquences. 

Enfin, l'exploitant devra s'assurer que les engagements pris auprès de l'ASN pour respecter complètement les exigences règlementaires relatives à la gestion des écarts sont respectés. 

## A. Demandes D'Actions Correctives Modifications De L'Armoire De Contrôle-Commande Du Poste De Contrôle De Secours 3 (Pcs3) Classé Eip

Les inspecteurs se sont intéressés aux opérations de modifications matérielles de l'armoire de contrôlecommande de la voie A du PCS3 réalisées du 18 au 22 février 2019, qui ont conduit à l'indisponibilité non détectée de cette voie1. 

Ces modifications ont été réalisées selon deux fiches d'évolution d'installation (FEI) : 

 la FEI n° 1839 relative au remplacement de 28 convertisseurs de mesure de tension et de fréquence sur le NUS (alimentation d'ultime secours 230 V) et l'AUS (alimentation d'ultime secours 400 V) de l'armoire du PCS3, rédigée, vérifiée et validée en juin 2016, la FEI n° 1879 relative à l'ajout d'une platine et à la modification du câblage des systèmes AUS, 
AS0, DUS (diesel d'ultime secours) et NUS de l'armoire du PCS3, rédigée, vérifiée et validée en août et septembre 2017. 
Les inspecteurs ont relevé que l'exploitant a réalisé des modifications de l'armoire de contrôlecommande du PCS3, classé EIP, selon le processus de gestion des modifications en vigueur en 2016 et 2017. Cette organisation en vigueur en 2016 et en 2017 ne permet pas le respect de toutes les exigences de l'AIP « Gestion des évolutions et modifications d'installation » et de la note de processus rédigée pour respecter la décision de l'ASN n° 2018-DC-0623 du 6 février 2018 portant mise en demeure de l'ILL de se conformer à diverses dispositions réglementaires concernant les modifications de l'INB 
n°67. En effet, les modèles de FEI ne prévoyaient pas en 2016 et 2017 la définition du classement de la modification, l'analyse de sûreté de la phase « travaux », l'analyse formalisée d'absence d'impact sur le référentiel de sûreté de l'installation, le contrôle technique de la FEI par la cellule « qualité, sûreté, risques » (CQSR), l'identification si la modification est réalisée sur un EIP ou peut être agresseur d'un EIP. Ceci constitue un écart à l'exigence définie 3.2 « la Cellule Sûreté analyse la demande de modification et justifie son classement conformément à la règlementation applicable » de l'AIP 
« gestion des évolutions et modifications des installations ». Les inspecteurs ont également constaté que l'exploitant n'avait pas réalisé la « réception de la modification » et clôturer les deux FEI avant la remise en exploitation des équipements modifiés, comme cela est prévu par sa note de processus « Gestion des évolutions et modifications des installations » à l'indice D. En effet, cette note de processus prévoit que : 
« *Avant mise en exploitation de la modification, le responsable technique atteste par son visa :* 
a. que la réalisation est conforme aux exigences techniques et de protection des intérêts, b. que les fiches d'anomalie en lien avec la modification sont soldées, c. que les consignes ou procédures nécessaires à la conduite de l'installation modifiée sont établies, d. que les essais, si nécessaire, ont été réalisés et sont conformes aux critères établis, e. que les documents identifiés dans l'étape 1 ont été mis à jour ou créés. 

Le chef de service du responsable technique vérifie, au titre du contrôle technique, que les points a et d sont réalisés et en atteste par son visa à cette étape. Le BCAQ vérifie, au titre du contrôle technique, que les points b, c et e sont réalisés et en atteste par son visa à cette étape ». Ainsi, l'exploitant n'a pas requalifié le PCS3 modifié à la suite des modifications réalisées entre le 18 et le 22 février 2018 avant de considérer de nouveau disponible la voie A, afin de s'assurer que l'EIP en question assurait toujours complètement les fonctions qui lui sont assignées. Ceci constitue un écart à l'exigence définie 3.3 « la FEI doit être clôturée avant la mise en exploitation de la modification » de l'AIP « gestion des évolutions et modifications des installations », ainsi qu'aux articles 2.5.1 de l'arrête [2] et aux articles 2.2, 3.2.4 et 3.2.8 de l'annexe de la décision [3]. En outre, la procédure AQ-8-591-P à l'indice 0 « opérations de câblage » prévoit que l'exécutant des raccordements de câbles surligne en jaune sur le plan de câblage « pour bon exécution » les raccordement qu'il réalise, et qu'il date et signe les folios de plans utilisés, puis que le chef de travaux vérifie les nouveaux câblages, réalise des contrôles à l'ohmmètre, et surligne en vert les liaisons et raccordements effectués en datant et visant les folios vérifiés. Enfin, le chef de travaux note les résultats d'essais sur l'autorisation de travail. Les inspecteurs ont constaté que l'AT n° 22468 ne contenait aucune information concernant cette vérification et que le plan Re 5C63 P05 304 commenté par les intervenants ne permettait pas de répondre complètement à ces exigences. Ainsi, l'exploitant ne dispose pas complètement de la traçabilité des opérations classées AIP et de la traçabilité de son contrôle technique, requis par l'article 2.5.6 l'arrêté du 7 février 2012 [2]. 

La procédure AQ-8-591-P prévoit également que le plan soit ensuite transmis au bureau d'études pour monter d'indice pour prendre en compte les éventuelles corrections et pour faire apparaitre la mention « tel que réalisé ». Cette montée d'indice n'avait pas encore été réalisée le jour de l'inspection. De plus, les analyses de ces deux FEI indiquent que les nouveaux convertisseurs devront être qualifiés au séisme et qu'il faut vérifier le bon dimensionnement de la visserie d'accrochage. Ces deux FEI ne formalisent pas la bonne prise en compte de ces recommandations. L'exploitant a néanmoins pu montrer des essais réalisés sur table vibrante. En outre, la cause principale de l'indisponibilité de la voie A du PCS3 non détectée par l'exploitant après la fin des opérations de modification est qu'un opérateur a mis en mode manuel un tableau de distribution électrique, afin de pouvoir consigner ce dernier. Néanmoins, cette mise en mode manuel n'est pas prévue dans la procédure d'intervention n° 48 classée AIP. La procédure remplie et le compte-rendu de l'autorisation de travail n° 22468 relatives à ces opérations n'indique rien concernant cette action. Ainsi, l'opérateur a réalisé une opération sur un EIP, non prévue par son référentiel, sans traçabilité, conduisant à rendre indisponible un EIP requis par les règles générales d'exploitation (RGE) de l'installation, et ce de surcroit sans le détecter. 

En conclusion, les modifications réalisées entre le 18 et le 22 février 2019 sur l'armoire de la voie A du PCS3 ont été réalisées sans satisfaire complètement, la décision de l'ASN n° 2018-DC-0623 du 6 février 2018 [5] les dispositions des articles 2.5.1, 2.5.2-II et 2.5.6 de l'arrêté du 7 février 2012 [2] et les articles 2.2, 2.4, 3.1, 3.2.4, 3.2.6 et 3.2.8 de l'annexe de la décision [3], ainsi que les exigences définies de l'AIP « « gestion des évolutions et modifications d'installations ». 

1. Je vous demande de vous assurer que votre processus de modifications matérielles prévoit dans les FEI la définition des modalités de requalification de vos EIP modifiés, ainsi que le respect de ces modalités, afin de vous assurer que les EIP modifiés sont toujours conformes aux exigences définies qui lui sont applicables, conformément à l'article 2.5.1 de l'arrêté du 7 février 2012 [2] et aux articles 3.2.4 et 3.2.8 de l'annexe de la décision [3]. 

2. Je vous demande de définir dans votre SMI les modalités nécessaires pour déclarer un EIP de nouveau disponible lorsqu'il a subi une modification qui le rend indisponible pendant la mise en œuvre de cette modification. 

3. **Je vous demande de vous assurer, lorsque vous réalisez des modifications d'installation** 
à l'aide de FEI validées plusieurs mois auparavant, que cette FEI réponde aux exigences du processus et de l'AIP « « gestion des évolutions et modifications des installations » applicables au jour de la modification, et que les différents éléments d'analyse de cette FEI sont toujours valables, compte-tenu d'éventuelles évolutions d'installation ou de votre référentiel de sûreté ou d'exploitation, afin de répondre aux exigences des articles 2.2, 2.4 et 3.1, et 3.2.6 de l'annexe de la décision [3]. 

4. Je vous demande de vous assurer du respect des modalités de réalisation de vos AIP 
définies dans votre SMI, conformément aux articles 2.5.2-II et 2.5.6 de l'arrêté du 7 février 2012 [2]. Vous re-sensibiliserez les vos opérateurs sur ce sujet. 

5. **Je vous demande de vous assurer que les modifications réalisées entre le 18 et le 22** 
février 2019 n'ont pas dégradé une des exigences définie du PCS3. Vous vous assurerez du bon étalonnage des chaines de mesure modifiées. 

6. **Je vous demande de m'indiquer si vous avez réalisé d'autres modifications postérieures** 
à l'échéance de la décision n° 2018-DC-0623 du 6 février 2018 [4] à l'aide de FEI antérieure à cette échéance. 

7. **Je vous demande de vous assurer que vos opérations de câblage sur des EIP font l'objet** 
de la traçabilité de la réalisation de l'activité et de son contrôle technique, comme cela est aujourd'hui prévu par la procédure AQ-8-591-P, conformément à l'article 2.5.6 de l'arrêté [2]. 

En outre, l'exploitant a indiqué aux inspecteurs que les modifications relatives aux FEI n° 1839 et n° 1879 avaient débuté du 6 novembre au 10 novembre 2017, mais qu'elles avaient été interrompues pour ne pas dépasser la durée maximale d'indisponibilité d'une voie du PCS3. Le compte-rendu d'intervention du chef de travaux n'indique rien à ce sujet, et l'exploitant n'a pas été en mesure de montrer aux inspecteurs l'avancement de la modification une fois que l'équipement avait été remis en exploitation le 10 novembre 2017. A cette date, l'exploitant n'avait également pas requalifié la voie A du PCS3. Comme en février 2019, la procédure AQ-8-591-P « opérations de câblage » n'avait pas été complètement respectée à cette occasion. 

8. Je vous demande de vous assurer que les comptes rendus d'autorisation de travail tracent convenablement les conditions de réalisation de vos activités, notamment lorsqu'elles n'ont été réalisées que partiellement. 

## Gestion Des Indisponibilités Des Eip Requis Par Les Rge De L'Installation

Dans le cadre de l'inspection de l'ASN du 19 juillet 2017, les inspecteurs avaient constaté que l'exploitant n'avait pas respecté la durée d'indisponibilité du circuit d'eau de secours (CES) défini dans la RGE n° 10. L'ASN avait demandé à l'exploitant par courrier du 15 février 2018 d'analyser les causes profondes de cet écart et de définir des actions correctives pour qu'un tel écart ne se reproduise plus. Par courrier du 18 avril 2018, l'exploitant a indiqué qu'il avait créé la consigne particulière d'exploitation (CPE) n° 286 « Gestion des indisponibilités au titre des RGE n° 9 et 10 » pour tracer les indisponibilités et pour démonter a priori et a posteriori le respect des exigences des RGE n° 9 et 10. La consigne particulière d'exploitation (CPE) n° 286 « Gestion des indisponibilités au titre des RGE n° 9 et 10 » à l'indice E du 18 juillet 2018 prévoit que lors de l'identification d'une indisponibilité d'un EIP requis par les RGE n° 9 et n°10, le chef de quart ou le directeur d'équipe note dans le cahier du chef de quart la date et l'heure du début d'indisponibilité, les équipements concernées par l'indisponibilité, ainsi que la date et l'heure limite d'indisponibilité de ces équipements. La CPE n° 286 prévoit qu'à chaque prise de poste, cet événement soit rappelé dans le cahier du chef de quart jusqu'à la suppression de l'indisponibilité (dépannage et validation du bon fonctionnement de l'équipement concerné). Enfin, la date et l'heure de fin d'indisponibilité doivent être spécifiées dans le cahier de quart. Les inspecteurs ont constaté que cette consigne n'avait pas été complètement respectée lors de l'indisponibilité de la voie A du PCS3 causée par les opérations de modification de cette voie, du 18 au 22 février 2019. En effet, seul le début d'indisponibilité et la fin présumée d'indisponibilité étaient notés sur le cahier de quart. En outre, l'heure et la date limite d'indisponibilité n'était pas renseignée. Enfin, il n'était pas indiqué précisément quelles voies de quels EIP étaient rendues indisponibles (les durées d'indisponibilité sont différentes pour une voie ou deux voies disponibles). Effectivement, le cahier de quart indique seulement « *mise hors tension des sources électriques chaine A début indispo 5j CP 2019-8* ». La consigne CP 2019-8 n'indique pas de manière explicite quelles voies de quels système EIP sont rendues indisponibles, et notamment la voie A du PCS3. Les inspecteurs ont constaté d'autres non-respects de cette procédure en février et mars 2019 pour des indisponibilités de circuits requis par les RGE de l'installation, sans constater de dépassement des durées d'indisponibilités définies dans ces RGE. Le non-respect de ces consignes, notamment la répétition à chaque prise de poste de la date et l'heure limite d'indisponibilité des équipements, pourrait conduire l'exploitant à rendre des équipements indisponibles pendant des durées supérieures à celles autorisées par les RGE sans qu'il ne le détecte. 

9. Je vous demande d'analyser ces dysfonctionnement et de vous assurer du respect de la CPE n° 286 relatives à la gestion des indisponibilités au titre des RGE n° 9 et 10, qui permet de s'assurer du respect de ces RGE. 

La CPE n° 286 indique que le chef de quart doit indiquer dans le cahier de quart la fin de l'indisponibilité lorsqu'il a la validation du bon fonctionnement de l'équipement concerné. 

10. **Je vous demande de spécifier comment est formalisé le bon fonctionnement de** 
l'équipement concerné dans le processus « Autorisation de travail ». 

De plus, il est indiqué que « le dépassement programmé de ces limites pour des raisons d'essais, de maintenance ou de jouvence exceptionnelle nécessite la mise en place préalable de dispositions compensatoires approuvées par le chef de la Division Réacteur et tracées dans une fiche d'écart ». La réglementation des INB ne prévoit pas que l'exploitant déroge à des exigences de ses RGE, sous couvert d'une fiche d'écart. Si l'exploitant souhaite dépasser une durée maximale d'indisponibilité défini dans les RGE, celui-ci doit faire une demande de modification temporaire de ses RGE, selon la réglementation en vigueur. 

11. Je vous demande de mettre à jour la CPE n° 286 pour interdire les dépassements programmés d'une durée maximale d'indisponibilité d'un équipement requis par les RGE, sans disposer d'une autorisation de l'ASN. 

## Gestion Des Autorisations De Travail (At)

Les inspecteurs ont constaté que les opérations relatives aux essais avant démarrage (nécessaires pour effectuer les approches sous-critiques), avaient été réalisées dans la nuit du 22 février au 23 février 2019, avant que l'AT n° 22552 idoine ne soit validée et autorisée par le chef de quart et par le chef de travaux. 

En effet, d'après la procédure d'intervention n° 0-007 « Fiche d'essai avant démarrage PCS3 » remplie par les opérateurs, les essais ont commencé le 22 février 2019 avant 23h20, alors que l'AT a été validée et autorisée par le chef de quart et le chef de travaux le 23 février à 04h45. Pourtant, cette procédure d'intervention, classée AIP, prévoit de vérifier que l'AT soit visée. 

De la même façon, les essais de la barre de pilotage, classés AIP, ont été réalisés le 18 février 2019 alors que l'AT n° 22506 relative à ces opérations n'a été validée et autorisée par le chef de quart et le chef de travaux que le 20 février 2019. Pourtant, la procédure PROC-SMI-25 référencée « Procédure de l'autorisation de travail » à l'indice A du 5 novembre 2018 prévoit que « le chef de travaux se présente en salle de contrôle réacteur, le chef de quart ou son représentant vérifie que le travail est compatible avec le fonctionnement, l'état des installations, les autres travaux en cours, les consignes et les astreintes liées à l'exécution des travaux ». 

En outre, les inspecteurs ont constaté que l'exigence relative à l'obligation de disposer d'une AT vérifiée et validée pour réaliser des opérations en lien avec une AIP n'était présente que dans la note de processus de l'AIP « Maintenance », qui en outre exige seulement qu'une AT soit établie pour chaque opération de maintenance, sans rendre la validation de l'AT obligatoire. Enfin, la plupart des notes de processus relatives à des AIP qui nécessitent une AT ne référencent pas la procédure PROC-SMI-25 « Procédure de l'autorisation de travail ». 

12. Compte tenu du fait que la réalisation d'opérations classées AIP, sans s'assurer de la vérification qu'elles sont compatibles avec le fonctionnement, l'état des installations et les autres travaux en cours, peut avoir une conséquence sur les intérêts protégés, je vous demande de définir des mesures fortes pour vous assurer que des activités importantes ne peuvent être réalisées que si l'AT est vérifiée et validée. 
En outre, les inspecteurs ont constaté que l'AT n° 22468, relative aux opérations de remplacement des convertisseurs et de modification du câblage de la voie A du PCS3 (classé EIP), n'indiquait pas que ces opérations concernaient les AIP « maintenance » et « gestion des évolutions et modifications d'installation ». La procédure d'interface n° 48 « PCS3, mise hors tension de la distribution électrique de la voie A ou de la voie B » à l'indice A du 18 février, utilisée dans le cadre de cette AT, indique pourtant que les opérations sont concernées par l'AIP « Maintenance ». 

La procédure PROC-SMI-25 « Procédure de l'autorisation de travail » à l'indice A du 6 novembre 2018 indique que les AT doivent identifier les éventuelles activités à qualité surveillée (AQS) en lien avec les opérations. Dans le cadre de la mise en œuvre de son SMI, l'exploitant a supprimé la notion d'AQS 
pour la remplacer par la notion d'activité importante pour la protection des intérêts (AIP), définie dans l'arrêté du 7 février 2012 [2]. 

13. Je vous demande de vous assurer que les autorisations de travail sont correctement renseignées concernant l'exigence d'identifier les éventuelles AIP concernées par les opérations. 

14. Je vous demande de mettre à jour la procédure PROC-SMI-25 « Procédure de l'autorisation de travail » pour qu'elle soit cohérente avec votre système de management intégré. 

De plus, les inspecteurs ont constaté que plusieurs AT étaient signées par la même personne concernant la vérification du bureau de la coordination et de l'assurance de la qualité (BCAQ) et la vérification de l'ingénieur de service. La procédure PROC-SMI-25 ne prévoit pas que la même personne puisse effectuer ces deux vérifications. 

15. Je vous demande de mettre en cohérence vos pratiques avec la procédure PROC-SMI25. Le cas échéant, vous justifierez que les contrôles des AT prévues par le BCAQ et par un ingénieur de service peuvent être réalisés par une même personne. 

## Essais Avant Démarrage Du Psc3

Les inspecteurs ont constaté plusieurs erreurs de remplissage de la gamme d'essai avant démarrage du PCS3 référencée AQ 0-007. Ces erreurs n'ont été détecté ni par le contrôleur technique, ni par l'ingénieur de service responsable de la validation de l'essai. Si les états de l'installation remplis par erreur étaient effectifs, l'essai n'aurait pas pu être jugé conforme. Ceci n'est pas satisfaisant. 

16. Je vous demande de prendre des mesures pour vous assurer que les étapes de contrôles techniques de vos AIP permettent de détecter les éventuelles erreurs de remplissage des gammes ou de réalisation des activités. 

## Mise En Œuvre Du Smi

Dans le cadre de la mise en œuvre de son système de management intégré, exigé par l'arrêté du 7 février 2012 [2], l'exploitant s'était engagé à réaliser pour fin mars 2019 des analyses de risque des procédures opérationnelles concernées par le périmètre d'une AIP, pour y définir des points d'arrêt permettant de répondre aux exigences de contrôles techniques des AIP, conformément à l'article 2.5.3 de l'arrêté [2]. Pour réaliser la modification de la voie A du PCS3, l'exploitant a utilisé la procédure d'interface n° 48 à l'indice A du 18 février 2019. Cette procédure avait fait l'objet d'une analyse de risque et de la définition de points d'arrêt conformément à l'engagement précisé ci-avant. Néanmoins, cela n'a pas permis à l'exploitant de détecter l'indisponibilité de la voie A du PCS3, malgré quatre intervenants ayant réalisé un contrôle technique. Ainsi, les points d'arrêt définis par l'exploitant dans le cadre de la mise en œuvre de son SMI n'ont pas été suffisants. Ceci constitue un aspect générique à toutes les analyses de risques des procédures AIP, que l'exploitant n'a pas identifié dans le cadre de l'analyse de l'écart. En outre, l'analyse de risque de cette procédure est insuffisante. D'une part l'exploitant n'a pas identifié le risque de rendre indisponible les deux voies du PCS3 pendant plus de 24 heures si les travaux étaient réalisés sur une voie pendant que l'autre voie est déjà indisponible. Ainsi, la vérification que l'autre voie du PCS3 est disponible ne fait pas l'objet d'une vérification formalisée dans le mode opératoire. D'autre part, l'analyse de risque identifie le risque de dépasser la durée maximale d'indisponibilité de la voie A du PCS3 définie dans les RGE (l'analyse de risque n'identifie pas le risque de rendre indisponible la voie B). Néanmoins, l'analyse de risque ne définit aucune mesure compensatoire ou parade pour prendre en compte ce risque. Ainsi, aucune disposition n'est décrite dans la procédure n° 48 pour empêcher le dépassement da la durée maximale d'indisponibilité d'une ou deux voie du PCS3. 

En outre, le risque de rendre disponible l'équipement à tort en fin d'intervention (ce qui s'est produit le 22 février 2018) n'a pas été identifié dans l'analyse de risques. Cela n'est pas satisfaisant. De plus, cette procédure n° 48 prévoit de « brancher » la voie de la centrale incendie « noyau dur » 
rendu indisponible par les opérations, sur l'autre voie, qui est disponible. Cette activité n'a fait l'objet d'aucune analyse de risque. Cette opération n'était pas prévue par la procédure n° 48 à son indice précédent du 31 octobre 2017. 

17. **Je vous demande de vous assurer que vos analyses de risques des procédures classées** 
AIP analysent et formalisent correctement tous les risques, et qu'elles définissent les parades permettant de prendre en compte ces risques. Vous analyserez les causes des dysfonctionnements relevés par les inspecteurs concernant l'analyse de risque de la procédure n° 48 « PCS3 : mise hors tension de la distribution électrique ». 

18. **Je vous demande de réviser l'analyse de risque et la procédure n° 48 afin de corriger les** 
dysfonctionnements relevés ci-avant. Vous vous assurerez de l'exhaustivité des risques pris en compte. 

## Gestion Du Risque Incendie

La procédure d'interface n° 48 « PCS3 : mise hors tension de la distribution électrique » prévoit que la voie coupée de la « centrale incendie » soit réalimentée à l'aide de l'autre voie disponible du PCS3. Néanmoins, la procédure ne prévoit pas qu'à la fin des opérations, la voie de la centrale incendie soit remise à son état initial. Cette centrale incendie surveille les différents locaux du PCS3 et gère le système d'extinction automatique des deux locaux contenants les deux diesels d'ultime secours, classées EIP. 

Concernant les opérations de modification de la voie A d'alimentation du PCS3, qui nécessitent la mise en œuvre de la procédure n° 48, les inspecteurs ont constaté que la remise à l'état normal de la voie A 
de centrale incendie a été effectué le 1er mars 2019, alors que les opérations ont été déclarées terminées le 22 février 2019. Ainsi, l'ensemble de la centrale incendie du PCS3 était reliée à une seule voie d'alimentation du PCS3 pendant une semaine. En cas d'indisponibilité de cette voie du PCS3, toute la centrale incendie du PCS3 aurait été rendue indisponible. 

19. **Je vous demande de me démontrer que le branchement des deux voies de la centrale** 
incendie n'a pas de conséquence sur le fonctionnement de celle-ci. 

20. Je vous demande de vous assurer que la procédure d'interface n° 48 prévoit la remise à l'état normal de la centrale incendie à la fin des opérations. 

Les inspecteurs ont demandé à l'exploitant les conséquences potentielles d'un incendie au PCS3. La cellule sûreté leur a indiqué que le risque était la combustion du PCS3, sans apporter d'autres éléments concrets et en indiquant que la gestion du risque incendie n'était pas une AIP dans leur référentiel, et que la « centrale incendie » ne constituait pas un EIP. L'article 1.3.1 de l'annexe de la décision n° 014-DC-0417 du 28 janvier 2014 [4] dispose que « *parmi les* EIP identifiés en application de l'article 2.5.1 de l'arrêté du 7 février 2012 susvisé, l'exploitant détermine ceux qui doivent être protégés des effets d'un incendie ainsi que les exigences définies afférentes ». L'article 1.3.2 de l'annexe de la décision n° 014-DC-0417 du 28 janvier 2014 [4] dispose que « sur la base de la démonstration de maîtrise des risques liés à l'incendie, l'exploitant : 

 *identifie les EIP à protéger des effets d'un incendie et les exigences définies afférentes ;* 
 détermine les dispositions de prévention des risques liés à l'incendie et de protection contre ses effets. Parmi cellesci, et conformément aux articles 2.5.1 et 2.5.2 de l'arrêté du 7 février 2012 susvisé, l'exploitant identifie les EIP et les AIP éventuels ainsi que les exigences définies afférentes. Ces EIP sont conçus et implantés dans l'INB de manière à réduire la probabilité d'occurrence d'un incendie, en assurer la détection et à en limiter les conséquences ». 
Lors de l'inspection de l'ASN du 13 mars 2018, les inspecteurs avaient constaté que l'étude de risque incendie (ERI) de l'exploitant ne permettait pas de répondre à ces exigences réglementaires. Par courrier du 26 juin 2018, l'ASN avait indiqué à l'exploitant que son ERI aurait dû le conduire à « définir l'ensemble des EIP à protéger » et à « définir, s'il y a lieu, les EIP et AIP, ainsi que les exigences définies afférentes visant à réduire la probabilité d'occurrence d'un incendie, d'en assurer la détection et à en limiter les conséquences, conformément à l'article 1.3.2 de l'annexe de la décision [4] », et lui avait demandé de mettre à jour son ERI 
pour prendre en compte ces exigences règlementaires. Par courrier du 26 septembre 2018, l'exploitant avait pris l'engament de mettre à jour son ERI pour fin 2018. L'exploitant a transmis à l'ASN cette mise à jour le 1er février 2019. Cette ERI identifie les EIP 
susceptibles d'être la cible d'un incendie, puis après analyse, identifie pour certains EIP des dispositions de maîtrise des risques d'incendie (DMRI) « classées », sans préciser le caractère EIP ou non de ces DMRI, ainsi les exigences définies de ces DMRI, conformément à l'article 2.5.1 de l'arrêté du 7 février 2012 [2]. Ainsi, l'ERI de l'INB n° 67 n'identifie pas clairement les EIP à protéger des effets d'un incendie et n'identifie pas non plus les EIP et les AIP éventuels ainsi que les exigences définies afférentes concernant les équipements conçus et implantés dans l'INB pour réduire la probabilité d'occurrence d'un incendie, pour assurer la détection et pour limiter les conséquences d'un incendie sur un EIP à protéger. Ainsi, plus d'un an après le constat des inspecteurs de l'écart réglementaire, les articles 1.3.1 et 1.3.2 de l'annexe de la décision [4] ne sont toujours pas entièrement respectés. 

21. Je vous demande de définir clairement et de manière justifiée, sous deux mois, les EIP 
à protéger des effets d'un risque incendie et les EIP et le AIP, ainsi que leur exigences définies qui permettent de réduire la probabilité d'occurrence d'un incendie, d'en assurer la détection, et d'en limiter les conséquences sur les EIP à protéger, afin de vous conformer complètement aux articles 1.3.1 et .1.3.2 de l'annexe de la décision [4]. Vous mettrez à jour votre liste des EIP et des AIP pour prendre en compte cette demande. 

## Gestion Des Écarts

L'article 2.6.1 de l'arrêté du 7 février 2012 [2] dispose que « *l'exploitant prend toute disposition pour détecter les* écarts relatifs à son installation ou aux opérations de transport interne associées. Il prend toute disposition pour que les intervenants extérieurs puissent détecter les écarts les concernant et les porter à sa connaissance dans les plus brefs délais ». 

L'article 2.6.2 de l'arrêté du 7 février 2012 [2] dispose que « l'exploitant procède dans les plus brefs délais à l'examen de chaque écart, afin de déterminer : 
― *son importance pour la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement et, le cas* échéant, s'il s'agit d'un événement significatif ; ― s'il constitue un manquement aux exigences législatives et réglementaires applicables ou à des prescriptions et décisions de l'Autorité de sûreté nucléaire le concernant ; 
― *si des mesures conservatoires doivent être immédiatement mises en œuvre* ». L'article 2.6.3 de l'arrêté du 7 février 2012 [2] dispose que « I. ― L'exploitant s'assure, dans des délais adaptés aux enjeux, du traitement des écarts, qui consiste notamment à : ― déterminer ses causes techniques, organisationnelles et humaines ; ― *définir les actions curatives, préventives et correctives appropriées ;* 

― *mettre en œuvre les actions ainsi définies ;* 
― évaluer l'efficacité des actions mises en œuvre. Cependant, pour les écarts dont l'importance mineure pour la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement est avérée, le traitement peut se limiter à la définition et à la mise en œuvre d'actions curatives. II. ― *L'exploitant tient à jour la liste des écarts et l'état d'avancement de leur traitement.* III. ― Le traitement d'un écart constitue une activité importante pour la protection. IV. ― Lorsque l'écart ou sa persistance constitue un manquement mentionné au troisième alinéa de l'article 2.6.2, l'exploitant prend sans délai toute disposition pour rétablir une situation conforme à ces exigences, décisions ou prescriptions. Sans préjudice des dispositions de l'article 2.6.4, lorsque l'exploitant considère qu'il ne peut rétablir une situation conforme dans des délais brefs, il en informe l'Autorité de sûreté nucléaire ». Lorsque l'exploitant a détecté l'indisponibilité non prévue de la voie A du PCS3, il a ouvert une fiche d'anomalie pour le tracer. L'analyse de l'exploitant le conduit seulement à conclure que le mode opératoire ne précisait pas que le disjoncteur devait être remis en mode automatique. L'exploitant a défini comme action corrective la mise à jour de la procédure pour prévoir la remise en automatique de ces disjoncteurs. Cette fiche d'anomalie, créée le 25 février 2019 avait fait l'objet d'une analyse et d'une définition d'action par le chef de service concerné et l'ingénieur sûreté le 27 mars 2019. Ainsi, les différents écarts détectés par les inspecteurs en consultant les différents éléments référencés dans la fiche d'écart, qui font l'objet de demandes dans cette présente lettre de suite, n'ont pas été détectés lors de l'analyse de la fiche d'écart. Cela n'est pas satisfaisant et constitue des écarts aux articles 2.6.1, 2.6.2 et 2.6.3 de l'arrêté du 7 février. En outre, l'exploitant classe cette anomalie comme une anomalie simple. Ainsi, selon la note de processus AIP « gestion des anomalies et des écarts » de l'exploitant, cette anomalie simple, sauf avis contraire de la cellule sûreté, la traçabilité peut s'arrêter à la validation du non-classement en écart (pas d'analyse ni de définition d'action corrective ou préventive). Pourtant, ce dysfonctionnement aurait pu conduire à rendre indisponible un équipement au-delà de la durée maximale définie dans les RGE s'il n'y avait pas eu un essai sur cet équipement. Ce classement n'est pas satisfaisant. 

22. **Je vous demande d'analyser les causes des dysfonctionnements qui ont conduit à ce** 
que le chef de service et l'ingénieur sûreté ne détectent pas les nombreux écarts constatés par les inspecteurs lors de leur propre analyse de la fiche d'anomalie. Vous prendrez des mesures fortes pour que vos anomalies et écarts soient correctement détectés et analysés, conformément aux articles 2.6.1, 2.6.2 et 2.6.3 de l'arrêté du 7 février 2012 [2]. 

Dans le cadre des suites de l'inspection de l'ASN du 2 juillet 2018, l'ASN avait demandé à l'exploitant de veiller au respect de la note de processus NP-PIL-4a-AIP-7 relative à la gestion des écarts et de s'assurer que les contrôles techniques des écarts concernant les activités de radioprotection, de transports de matières dangereuses, de surveillance et l'environnement et de gestion des déchets sont réalisées par la personne compétente sur ces sujets, à savoir, le chef du service « Radioprotection, sécurité, environnement » (SRSE), ou son suppléant. Par courrier du 12 novembre 2018, l'exploitant avait répondu que la note de processus NP-PIL-4a-AIP7 avait été mise à jour afin de prévoir le contrôle technique de la fiche d'écart par le chef du service SRSE pour l'étape « analyse et définition des actions correctives ». Les inspecteurs ont consulté les fiches d'écart ouvertes par l'exploitant depuis novembre 2018, qui concernent les activités de radioprotection, de transports de matières dangereuses, de surveillance et l'environnement et de gestion des déchets, pour lesquelles le contrôle technique de l'analyse de l'écart de la définition des actions correctives doivent être réalisées par le chef du SRSE. Les inspecteurs ont constaté qu'à une exception près, toutes les fiches d'écart avaient été vérifiées par la cellule sûreté pour l'étape « analyse et définition des actions correctives », comme cela avait déjà été constaté lors de l'inspection du 2 juillet, contrairement à l'engagement pris par l'exploitant. 

Les inspecteurs ont alors demandé à l'exploitant les exigences en termes de formation et de compétence des ingénieurs sûreté faisant partie de la cellule sûreté. Les éléments apportés par l'exploitant montrent que le SMI de l'exploitant ne prévoit pas que les ingénieurs sûreté aient des compétences ou connaissance dans les domaines de la radioprotection, de la sécurité, du transport de matières dangereuses, de la surveillance de l'environnement ou de la gestion des déchets. Ainsi, la réalisation du contrôle technique de l'analyse d'un écart et de la définition d'actions correctives et préventives 
(prévues par l'article 2.6.3 de l'arrêté du 7 février 2012 [2]) par des personnes ne disposant pas des compétences et qualifications nécessaires constituent un écart à l'article 2.5.5 de l'arrêté du 7 février 2012 [2]. 

23. Je vous demande d'ouvrir une fiche d'écart pour tracer et analyser ce non-respect d'une disposition réglementaire et ce non-respect d'un engagement pris auprès de l'ASN, conformément à votre processus de gestion des anomalies et des écarts. 

24. Je vous réitère ma demande concernant le respect de la note de processus NP-PIL-4aAIP7 relative à la gestion des écarts et de vous assurer que les contrôles techniques des écarts concernant les activités de radioprotection, de transports de matières dangereuses, de surveillance et l'environnement et de gestion des déchets sont réalisées par la personne compétente sur ces sujets, à savoir, le chef du SRSE, ou son suppléant. 
Au cours de l'inspection du 2 juillet 2018, les inspecteurs avaient consulté le compte-rendu de l'audit interne du processus « gestion des écarts » du 1er décembre 2017, réalisé pour répondre à l'exigence réglementaire de l'arrêté du 7 février 2012 [2] relative à la réalisation de vérification par sondages des AIP (article 2.5.4 de l'arrêté [2]). Les inspecteurs avaient constaté que l'audit n'avait duré que deux heures, que peu d'axes d'amélioration avaient été identifiés et que l'audit n'avait pas porté sur la vérification du respect des exigences définies de l'AIP. Les inspecteurs avaient pourtant relevé de nombreux écarts concernant ce processus AIP de gestion des écarts au cours de l'inspection du 2 juillet 2018. Ainsi, compte-tenu des constats effectués lors de l'inspection du 2 juillet 2018, l'ASN avait demandé à l'exploitant de réaliser des audits internes du processus « gestion des écarts » portant sur l'ensemble de l'AIP ou sur un ensemble conséquent d'exigences définies, conformément à sa note de processus. Par courrier du 12 novembre 2018, l'exploitant s'était engagé à réaliser un audit du processus « Gestion des anomalies et des écarts » d'ici la fin de l'année 2018. Les inspecteurs ont consulté le compte-rendu de cet audit, réalisé le 17 décembre 2018. Ce compte rendu indique que l'audit a duré 2h00 et que les différents sujets audités ont été : 
 le pilotage du processus et la connaissance des exigences inhérentes à la note de processus, le choix des AIP, objets des anomalies, l'analyse des causes, le suivi des actions décidées à la suite de l'inspection de l'ASN du 2 juillet 2018, le contrôle technique de l'AIP 
 l'utilisation de l'outil informatique GIRAFE, 

 les événements de 2018, les fiches d'analyse d'événement et le suivi des actions. 
D'une part, les inspections s'interrogent sur la profondeur des vérifications réalisées pour chacun de ces thèmes, compte tenu de la durée de l'audit de 2 heures (ce qui correspond à 15 minutes en moyenne par thème). En outre, ce compte-rendu d'audit n'indique aucun élément concernant le pilotage du processus et la connaissance des exigences inhérentes à la note de processus par le personnel ILL, l'analyse des causes, le suivi des actions décidées à la suite de l'inspection de l'ASN du 2 juillet 2018, le contrôle technique de l'AIP, et les fiches d'analyse d'événement et le suivi des actions. 

25. Je vous demande de me confirmer que toutes les thématiques évoquées dans le plan d'audit ont effectivement été vérifiées. Vous m'indiquerez les conclusions de l'audit sur les thèmes mentionnés ci-avant. Le cas échéant, vous réaliserez un second audit sur les points non vérifiés le 17 décembre 2018. 

26. **Je vous demande de vous assurer que vos comptes-rendus d'audit formalisent de** 
manière rigoureuse les conclusions de ces audits, même si elles ne font pas l'objet d'un relevé de dysfonctionnement ou d'écart. 

En outre, les inspecteurs ont consulté les fiches de vérification par sondage de l'AIP « gestion des anomalies et des écarts » de novembre et décembre 2018, ainsi que de février 2019. Le compte-rendu de la vérification par sondage du 11 décembre 2018 indique que l'exigence de réaliser l'analyse et la définition d'actions correctives dans un délai de 45 jours suivant l'ouverture de la fiche d'anomalie n'a pas été respecté pour la fiche d'anomalie n° 87. Il s'agit pourtant de la réalisation de modifications sur les diesels d'ultimes secours, classées EIP, avant l'analyse, le classement et l'autorisation de la fiche d'évolution de l'installation, ce qui constituait un non-respect de la décision de l'ASN [5] de mise en demeure de l'ILL de respecter les exigences réglementaires relatives aux modifications matérielles. Cette analyse a été réalisée et validée le 22 février 2019. 

Le compte-rendu considère que ce non-respect du délai de réalisation de l'exigence définie relative à l'analyse et la définition d'actions corrective est une non-conformité mineure, et qu'elle n'a pas d'incidence sur la protection des intérêts. Cela n'est pas satisfaisant. En outre, aucune action corrective ou préventive n'a été définie pour éviter le renouvellement de ce dysfonctionnement alors que le compte-rendu de vérification par sondage conclut à un non-respect d'une exigence définir de l'AIP « gestion des anomalies et des écarts ». Cela constitue un écart à votre processus AIP « gestion des anomalie et des écarts » qui exige l'ouverture d'une fiche d'anomalie en cas de non-respect d'une exigence définie relative à une AIP. 

De plus, la fiche d'anomalie n° 122 du 14 février 2019, relative à la constatation lors d'une vérification par sondage d'agents mobilisables non formés à la préparation et à la gestion des situations d'urgence n'avait pas encore été analysé le jours de l'inspection. 

27. Je vous demande de vous assurer que le non-respect d'exigences définies de vos AIP 
détecté dans le cadre de vérification par sondage fait bien l'objet de l'ouverture d'une fiche d'écart, conformément aux exigences de votre processus AIP « gestion des anomalies et des écarts ». 

28. **Je vous demande de vous assurer du respect de votre exigence d'analyser vos écarts** 
dans un délai de 45 jours, afin de répondre à l'article 2.6.3 de l'arrêté [2] relatif au traitement des écarts dans un délai adapté. 

Enfin, toujours dans le cadre des suites de l'inspection du 2 juillet 2018, l'ASN avait demandé à l'exploitant de mettre à jour sa note de processus « gestion des anomalies et des écarts » pour intégrer la définition des modalités d'évaluation de l'efficacité des actions mises en œuvre a posteriori, lors de la clôture de la fiche d'écart et lors de la réalisation du bilan annuel, afin de se conformer aux exigences de l'article 2.6.3 de l'arrêté du 7 février 2012 [2]. Par courrier du 12 novembre 2018, l'exploitant avait indiqué que la mise à jour de sa note de processus à l'indice B prenait en compte cette demande. L'indice B de la note de processus « gestion des anomalies et des écarts » indique ainsi que l'évaluation de l'efficacité a posteriori des actions correctives est réalisée par la cellule sûreté lors de la revue trimestrielle des écarts et du bilan annuel des écarts. Cela constitue l'exigence définie n°7.3 de l'AIP. 

D'une part, je considère que cette disposition ne permet pas de s'assurer de l'efficacité a posteriori des actions correctives et préventives mises en place. Cela permet seulement de détecter a posteriori que vos actions correctives n'ont pas été suffisantes. D'autre part, les inspecteurs ont constaté que le périmètre des revues trimestrielles des écarts concernait seulement les fiches d'écart ouvertes depuis la dernière revue trimestrielles et les fiches d'écart non soldées. Ainsi, lors de cette revue trimestrielle, le pilote du processus, se positionne sur la nonreproduction des écarts, sur les écarts non complètement traités et sur les écarts de moins de trois mois. 

Cela n'est pas satisfaisant. Il en est de même pour la revue annuelle, pour laquelle le pilote de processus ne s'assure de l'absence de reproduction d'écarts similaire sur une période de douze mois seulement. 

29. Je vous demande de vous assurer que les revues trimestrielles et les revues annuelles de vos écarts permettent de vous assurer de la non-reproduction des écarts sur une plage de temps suffisante pour répondre aux exigences règlementaires. 

## B. Demandes D'Informations Complementaires

Sans objet. C. OBSERVATIONS Sans objet. 

 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée. 

La cheffe de la division de Lyon Signé par Caroline COUTOUT 